| Source de l'événement : | Centre de distribution de clés Microsoft-Windows-Kerberos |
| ID de l'événement : | 20 (0x80000014) |
| Journal des événements : | Système |
| Type d'événement : | Avertissement |
| Texte de l'événement (en anglais) : | Le certificat KDC actuellement sélectionné a été valable une fois, mais il est désormais invalide et aucun remplacement approprié n'a été trouvé. La connexion par carte à puce peut ne pas fonctionner correctement si ce problème n'est pas résolu. Demandez à l'administrateur système de vérifier l'état de l'infrastructure de clés publiques du domaine. L'état de la chaîne est indiqué dans les données d'erreur. |
| Texte de l'événement (en allemand) : | Le certificat KDC actuellement sélectionné était auparavant valide, mais il n'est plus valide. Aucun remplacement approprié n'a été trouvé. La connexion par carte à puce peut ne pas fonctionner correctement si ce problème n'est pas résolu. Demandez à l'administrateur système de vérifier l'état de l'infrastructure à clé publique (PKI) du domaine. L'état de la chaîne est inclus dans les données d'erreur. |
Auteur : Uwe Gradenegger
Détails de l'événement avec ID 29 de la source Microsoft-Windows-Kerberos-Key-Distribution-Center
| Source de l'événement : | Centre de distribution de clés Microsoft-Windows-Kerberos |
| ID de l'événement : | 29 (0x8000001D) |
| Journal des événements : | Système |
| Type d'événement : | Avertissement |
| Texte de l'événement (en anglais) : | Le Centre de distribution de clés (KDC, Key Distribution Center) ne parvient pas à trouver un certificat approprié à utiliser pour les connexions par carte à puce, ou le certificat KDC n'a pas pu être vérifié. La connexion par carte à puce peut ne pas fonctionner correctement si ce problème n'est pas résolu. Pour résoudre ce problème, vérifiez le certificat KDC existant à l'aide de certutil.exe ou inscrivez-vous pour obtenir un nouveau certificat KDC. |
| Texte de l'événement (en allemand) : | Le centre de distribution de clés (KDC) ne trouve pas de certificat approprié pour les connexions par carte à puce ou le certificat KDC n'a pas pu être vérifié. La connexion par carte à puce peut ne pas fonctionner correctement tant que ce problème n'est pas résolu. Pour résoudre ce problème, vérifiez le certificat KDC existant à l'aide de „ certutil.exe “ ou enregistrez-vous pour obtenir un nouveau certificat KDC. |
Détails de l'événement ID 120 de la source Centre de distribution de clés Kerberos Microsoft Windows
| Source de l'événement : | Centre de distribution de clés Microsoft-Windows-Kerberos |
| ID de l'événement : | 120 (0x78) |
| Journal des événements : | Centre de distribution de clés Kerberos Microsoft Windows/Opérationnel |
| Type d'événement : | Erreur |
| Texte de l'événement (en anglais) : | Le centre de distribution de clés (KDC) n'a pas réussi à valider son certificat KDC actuel. Ce KDC n'est peut-être pas activé pour l'authentification par carte à puce ou par certificat. Informations sur le certificat KDC : Nom de l'émetteur : %1 Numéro de série : %2 Empreinte digitale : %3 Modèle : %4 Erreur Kerberos : %5 Erreur de validation : %6 |
| Texte de l'événement (en allemand) : | Le centre de distribution de clés (KDC) n'a pas pu vérifier le certificat KDC actuel. Ce KDC ne peut peut-être pas être utilisé pour l'authentification par carte à puce ou par certificat. Informations sur le certificat KDC : Nom de l'émetteur : %1 Numéro de série : %2 Empreinte digitale : %3 Modèle : %4 Erreur Kerberos : %5 Erreur de vérification : %6 |
Modifier l'algorithme de signature d'une hiérarchie d'autorités de certification sans émettre de nouveaux certificats d'autorité de certification
Il peut parfois être nécessaire de algorithme de signature modifier ultérieurement une hiérarchie d'autorités de certification déjà installée.
C'est souvent le cas lorsque ces derniers ont été installés avec PKCS#1 version 2.1 et que l'on constate malheureusement par la suite que toutes les applications ne sont pas compatibles avec les certificats qui en résultent et ne peuvent donc pas utiliser la hiérarchie.
S'il est encore relativement facile de modifier a posteriori l'algorithme de signature pour les certificats délivrés par une autorité de certification, cela s'avère plus difficile pour les certificats des autorités de certification.
Continuer la lecture de « Den Signaturalgorithmus einer Zertifizierungsstellen-Hierarchie ändern, ohne neue Zertifizierungsstellen-Zertifikate auszustellen »Le service d'autorité de certification ne démarre pas et affiche le message d'erreur „The parameter is incorrect. 0x80070057 (WIN32 : 87 ERROR_INVALID_PARAMETER)“.“
Supposons le scénario suivant :
- Une autorité de certification est mise en œuvre sur le réseau.
- Le service d'autorité de certification ne démarre pas
- Lorsque l'on tente de démarrer le service d'autorité de certification, on obtient le message d'erreur suivant :
The parameter is incorrect. 0x57 (WIN32: 87 ERROR_INVALID_PARAMETER)Continuer la lecture de « Der Zertifizierungsstellen-Dienst startet nicht und wirft die Fehlermeldung „The parameter is incorrect. 0x80070057 (WIN32: 87 ERROR_INVALID_PARAMETER)“ »
Configurer PKCS#1 version 2.1 pour les certificats émis et les listes de révocation d'une autorité de certification
Il peut parfois être nécessaire de algorithme de signature modifier ultérieurement une autorité de certification déjà installée.
Continuer la lecture de « PKCS#1 Version 2.1 für ausgestellte Zertifikate und Sperrlisten einer Zertifizierungsstelle konfigurieren »Utiliser PKCS#1 version 2.1 pour une autorité de certification racine (certificats propres et émis)
Avant la Installation d'une autorité de certification racine autonome (Standalone Root CA) La question se pose alors de savoir quels algorithmes cryptographiques doivent être utilisés.
Continuer la lecture de « PKCS#1 Version 2.1 für eine Stammzertifizierungsstelle (Root CA) einsetzen (eigenes und ausgestellte Zertifikate) »Bases : algorithmes de clés, algorithmes de signature et algorithmes de hachage de signature
Lors de la planification d'une infrastructure à clé publique, la question se pose de savoir quels algorithmes cryptographiques celle-ci doit utiliser.
Les principes fondamentaux sont expliqués ci-après.
Continuer la lecture de « Grundlagen: Schlüsselalgorithmen, Signaturalgorithmen und Signaturhashalgorithmen »Configurer un modèle de certificat pour les contrôleurs de domaine
Même dans le cas d'un modèle de certificat pour contrôleurs de domaine supposé simple à configurer, certains points doivent être pris en compte.
Continuer la lecture de « Konfigurieren einer Zertifikatvorlage für Domänencontroller »Empêcher la connexion au réseau avec une carte à puce
Si vous installez les services de certificats Active Directory dans la configuration standard, l'environnement est automatiquement configuré pour que les connexions par carte à puce soient acceptées par les contrôleurs de domaine.
Si l'utilisation des connexions par carte à puce n'est pas souhaitée, il est donc judicieux de désactiver cette fonctionnalité afin d'éviter, en cas de compromission de l'autorité de certification, Ne pas compromettre Active Directory.
Continuer la lecture de « Smartcard Anmeldung im Netzwerk unterbinden »Personnaliser le service Web de demande de certificat (CES) après la migration d'une autorité de certification vers un nouveau serveur
Si un service Web de demande de certificat (Certificate Enrollment Web Service, CES) est exploité sur le réseau, il est nécessaire, conformément à la „Migration d'une autorité de certification intégrée à Active Directory (Enterprise Certification Authority) vers un autre serveur“ nécessite que la configuration du CES soit adaptée à la nouvelle situation.
Une chaîne de configuration (Config String) contenant le nom du serveur de l'autorité de certification connectée est enregistrée dans la configuration du CES. Si celui-ci change, la configuration doit être adaptée en conséquence.
Continuer la lecture de « Den Zertifikatbeantragungs-Webdienst (CES) nach der Migration einer Zertifizierungsstelle auf einen neuen Server anpassen »Principes de base : recherche de certificats et validation du chemin de certification
Afin de pouvoir déterminer si un certificat a été délivré par une autorité de certification jugée fiable, il est nécessaire de créer une chaîne de confiance (en anglais « Trust Chain »). Pour cela, tous les certificats de la chaîne doivent être identifiés et vérifiés. Microsoft CryptoAPI forme toutes les chaînes de certificats possibles et renvoie celles qui sont de la plus haute qualité à l'application qui en fait la demande.
Continuer la lecture de « Grundlagen: Auffinden von Zertifikaten und Validierung des Zertifizierungspfades »Principes de base : vérification du statut de révocation des certificats
Si un certificat valide et non encore expiré doit être retiré de la circulation, il doit être révoqué. À cette fin, les autorités de certification tiennent à jour des listes de blocage dans lesquelles sont répertoriées les empreintes numériques des certificats révoqués. Elles doivent être consultées lors du contrôle de validité.
Continuer la lecture de « Grundlagen: Überprüfung des Sperrstatus von Zertifikaten »Utilisation du répondeur en ligne (OCSP) avec un module de sécurité matériel (HSM) SafeNet
Avec SafeNet Key Storage Provider, il n'est pas possible de définir des autorisations pour les clés privées : la console MMC (Microsoft Management Console) plante dans ce cas.
Continuer la lecture de « Den Onlineresponder (OCSP) mit einem SafeNet Hardware Security Module (HSM) verwenden »Limiter l'utilisation de la clé étendue (EKU) pour les certificats d'autorité de certification racine importés
Une mesure de durcissement judicieuse pour les organismes de certification consiste à limiter les certificats d'organismes de certification, de sorte qu'ils ne puissent être utilisés que pour les certificats effectivement délivrés. utilisation étendue des clés (Extended Key Usage) devient familier.
En cas de compromission de l'autorité de certification, les dommages sont alors limités à ces utilisations étendues de clés. L'utilisation étendue de clés pour la connexion par carte à puce ne serait alors disponible que dans le certificat d'autorité de certification de l'autorité de certification qui délivre effectivement ces certificats.
Continuer la lecture de « Die erweiterte Schlüsselverwendung (Extended Key Usage, EKU) für importierte Stammzertifizierungstellen-Zertifikate einschränken »
Français 
Deutsch 
English